萬能密碼x’ or ‘1 萬能用戶名 x’ or 1# 密碼加密md5,用戶名讓單引號失效,可以將其轉義,通常有2種 php提供的addslashes()函數 mysql擴展提供的mysql\_real\_escape\_string()函數 ?p=admin&c=category&a=delete&cat\_id=7 or 1這樣會全刪除 需要將id后面的轉為整形:強制轉換,(int)變量,使用intval()函數 隱士轉換,讓其參與運算,用+ 可以+0 用戶輸入是不可信的:對html標簽進行轉義,在php中,有兩個函數可以完成這個功能 htmlspecialchars()函數 htmlentities()函數 在javascript里邊可以通過encodeURIComponent ()對特殊符號等信息進行編碼。 增加sql語句執行日志,和sql相關的sql語句可以把他寫到日志文件 file\_put\_contents()將sql語句寫到日志文件中。PHP\_EOL:換行符 常量 $str="\[".date("Y-m-d H:i:s")."\]".$sql.PHP\_EOL; file\_put\_contents("log.txt",$str,FILE\_APPEND);